Denuncia al 9933989844… 🚩⚠️ ¡EMERSON PROCESS: Carencia en ciberseguridad industrial en refinerías de Tula, Salamanca y Cadereyta, ASF 2024! En la ronda de auditorías de 2024, presentadas en febrero de este año, la Auditoría Superior de la Federación (ASF) identificó deficiencias operativas, carencias de control en ciberseguridad industrial y observaciones administrativas en contratos relacionados con Tecnologías de Información y Comunicaciones (TIC) de la hoy extinta empresa productiva subsidiaria @Pemex Transformación Industrial (PTRI), durante la revisión de la Cuenta Pública 2024. La auditoría 271, practicada bajo modalidad presencial, examinó contrataciones vinculadas con sistemas de control distribuido, automatización industrial, resiliencia operativa y seguridad informática, con énfasis en los servicios contratados a EMERSON Process Management, SA de CV. El universo auditado ascendió a 274 millones 885 mil 600 pesos correspondientes a pagos efectuados a EMERSON Process Management con cargo en las partidas presupuestales 56201 y 62301 durante 2024. De ese total, la ASF revisó una muestra de 179 millones 554 mil 400 pesos, equivalente al 65.3 por ciento de los recursos ejercidos, mediante el análisis de cuatro contratos relacionados con actualización de sistemas de control distribuido, corrección de fallas y desarrollo de ingeniería complementaria para sistemas integrales de control y seguridad. La revisión presupuestal reveló que PTRI ejerció en 2024 un presupuesto pagado de 29 mil 12 millones 593 mil 500 pesos en los capítulos 5000 y 6000. De ese monto, 274 millones 885 mil 600 pesos fueron destinados a pagos a EMERSON Process Management, equivalentes al 0.9 por ciento del total erogado en dichos capítulos. En la partida 56201, correspondiente a maquinaria y equipo industrial, se pagaron 1 millón 228 mil 100 pesos a la empresa, mientras que en la partida 62301, vinculada a construcción de obras para abastecimiento de agua, petróleo, gas, electricidad y telecomunicaciones, se erogaron 273 millones 657 mil 500 pesos. Entre los contratos revisados destacó el acuerdo 5400034892, identificado como PPI-CS-2-00604, relacionado con la actualización del Sistema de Control Distribuido del área de tanques de almacenamiento del sector 4 de la refinería de Cadereyta, Nuevo León. Este contrato tuvo una vigencia del 6 de febrero al 30 de noviembre de 2023, por un monto de 3 millones 825 mil 100 dólares, y generó pagos en 2024 por 65 millones 622 mil pesos. El alcance incluyó la migración del software PROVOX a DELTAV, actualización de tarjetas CHARM, switches de comunicación, estaciones de trabajo y suministro de refacciones. Durante la inspección técnica y funcional de ese contrato, la ASF detectó que, aunque el proveedor entregó evidencia documental de los servicios prestados, los entregables no estaban definidos ni en el contrato ni en el anexo técnico, omitiéndose características, plazos y requisitos para su recepción formal. Asimismo, en las Casas de Bombas de la refinería se localizaron diversas deficiencias físicas y operativas, entre ellas aires acondicionados fuera de operación, equipos con altas temperaturas, iluminación insuficiente, pisos falsos dañados, puertas sin cerradura, gabinetes abiertos con suciedad y polvo, además de inconsistencias en placas base desconectadas y números de serie que no coincidían con los registros del inventario institucional. La ASF señaló que, tras la intervención del órgano fiscalizador, @Pemex presentó programas de trabajo e instrucciones para corregir las deficiencias detectadas en las Casas de Bombas y ordenó que en futuras contrataciones se detallaran adecuadamente los entregables, sus características y requisitos, por lo que las observaciones fueron consideradas solventadas. La auditoría también revisó los contratos 5400034803 y 540035137, relacionados con la actualización del Sistema de Control Distribuido en la planta de isomerización de la refinería de Salamanca y en la planta de alquilación de la refinería de Tula. El primero tuvo un monto de 1 millón 956 mil 100 dólares y el segundo de 498 mil 100 dólares. En 2024 se pagaron 33 millones 958 mil 400 pesos y 8 millones 670 mil 700 pesos, respectivamente. En el caso de Salamanca, el contrato incluyó verificación de señales, revisión de redes de fibra óptica, sustitución de paneles de parcheo, instalación de componentes nuevos del sistema y pruebas de comunicación. En Tula, el contrato contempló actualización y rehabilitación del sistema EMERSON DELTAV, actualización de servidores y estaciones de control, rehabilitación de gabinetes y activación de soporte técnico. La ASF detectó que, como parte de la solución contratada, se incluyeron cuatro licencias de Microsoft Office para la refinería de Salamanca y una licencia Office ProPlus para la refinería de Tula que no habían sido activadas debido a que Pemex operaba con licencias de prueba. Además, los bienes instalados en la refinería de Tula carecían de número de inventario institucional. Tras la auditoría, Pemex acreditó la instalación de las licencias y el inventario físico y etiquetado de los equipos, solventando también estas observaciones. Otro de los contratos auditados fue el 5800085133, identificado como PTRI-PTI-ID-TULA-MAC-2-2023, adjudicado de manera directa para el desarrollo de ingeniería complementaria, procura, configuración, pruebas y capacitación del Sistema Integral de Control y Seguridad en la refinería Miguel Hidalgo de Tula, Hidalgo. El contrato fue firmado por 13 millones 616 mil 900 dólares y permaneció vigente del 9 de enero de 2023 al 29 de mayo de 2026, luego de dos memorandas de entendimiento que ampliaron los plazos inicialmente pactados. Durante 2024 se pagaron 71 millones 303 mil 300 pesos. El contrato comprendió actividades para plantas hidrotratadoras de naftas y diésel, producción de hidrógeno, tratamiento de aguas amargas, regeneración de aminas, sistemas de desfogue, torres de enfriamiento y calderas auxiliares. No obstante, la ASF indicó que no pudo verificar la ejecución de actividades de arranque, operación y pruebas de comportamiento debido a las prórrogas solicitadas para la construcción de los sistemas, conforme a la segunda memoranda de entendimiento. El hallazgo más relevante del informe se concentró en la auditoría de ciberseguridad de la automatización industrial de PTRI. La ASF evaluó 315 controles y 91 subcontroles distribuidos en cinco dominios relacionados con requisitos de seguridad, guías de seguridad, requisitos del proveedor, requisitos del sistema y requisitos de los componentes, utilizando estándares de la Sociedad Internacional de Automatización (ISA). La revisión concluyó que todos los dominios evaluados presentaron carencias en los controles de seguridad. La ASF clasificó los resultados en tres niveles: “Aceptable”, “Requiere fortalecer el control” y “Carencia de control”. Aunque algunos dominios alcanzaron un nivel aceptable, otros quedaron ubicados en niveles de fortalecimiento o franca carencia de control, por lo que el órgano fiscalizador concluyó que existían debilidades generalizadas en la ciberseguridad de la automatización industrial de PTRI. Derivado de estos hallazgos, la ASF emitió dos recomendaciones formales a @Pemex . La primera recomendación exige fortalecer políticas y procedimientos de ciberseguridad industrial, consolidar un programa integral de gestión de seguridad alineado con la gobernanza organizacional y establecer procesos formales para altas, modificaciones y bajas de accesos bajo el principio de privilegio mínimo. También planteó implementar programas continuos de capacitación, mantener inventarios actualizados de activos tecnológicos, aplicar controles criptográficos y establecer mecanismos de alertas y protección de medios. La segunda recomendación se enfocó en robustecer los sistemas y componentes de automatización industrial mediante autenticación multi factor, segmentación segura de redes, monitoreo continuo, detección y prevención de intrusiones, validación de integridad de software y ejecución periódica de respaldos para restaurar operaciones ante contingencias o ataques cibernéticos. La ASF indicó que, de los cinco resultados determinados en la auditoría, dos no presentaron irregularidades y otros dos fueron solventados antes de la emisión del informe. Atención @Claudiashein @MarcelaVilleg15 @CNE_Mex @SENER_mx @GobiernoMX @FGRmexico @LuzElena_GE @ASF_Mexico @SCJN @STPS_mx @Tu_IMSS @SEMARNAT_mx @agencia_asea @CENAGAS_mx @IMPetroleo @SATMX @Hacienda_Mexico @BuenGobierno_mx @Centrofcrl #OIC #UIF #OmarReyesColmenares …Zas!!!
